ExpressVPN - Private Internet Access

2017'de Türk makamları, Rusya Büyükelçisi Andrei Karlov'un suikastını soruştururken bir ExpressVPN sunucusuna el koydu ve kullanılabilir kayıt bulamadı (ExpressVPN için sponsorluk bildirimi taşıyan TorrentFreak — olgular dışarıdan kontrol edilebilir olduğu ve ExpressVPN'in kendi açıklama sayfası o zamandan beri Wayback Machine anlık görüntüsü olmadan HTTP 410 döndürdüğü için not edildi, hariç tutulmadı).

Eylül 2021'de, ExpressVPN'in Chief Information Officer'ı Daniel Gericke ile, kendisinin BAE'deki "Project Raven" hackleme operasyonundaki önceki 2016-2018 rolü hakkında yapılan DOJ'nin Deferred Prosecution Agreement'ı kamuya açık hale geldi; birincil DPA belgesinin kendisi ExpressVPN'in adını hiçbir zaman anmaz (belge yalnızca onun önceki BAE istihdamını kapsar) — ExpressVPN bağlantısı, ExpressVPN'in kendi açıklamalarından ve basın açıklamalarından kaynaklanır. ExpressVPN, Gericke'i çalıştırmaya devam etti ve bu kararı kamuya açık biçimde savundu.

C12, bir mağaza kategorisinde değil, sağlayıcının kendi metninde resettable_ad_id olarak geçiyor. Gizlilik politikasının pazarlama paragrafı, bir Installation ID ile bir XV User ID'nin her zaman toplandığını ve reklam tanımlayıcılarının — IDFA veya Android Advertising ID — açık rıza sonrasında alındığını; bunların tümünün AppsFlyer'a ulaştığını belirtiyor. Play veri güvenliği formu da reklamcılık veya pazarlama amacıyla Device or other IDs bilgisini bağımsız olarak beyan ediyor.

Rıza eşiği ve buradaki başka hiçbir sağlayıcının sunmadığı bir azaltım — ilişkilendirme IP üzerinden korelasyon kuramasın diye AppsFlyer'a yönlendirilen trafiğin özel bir ExpressVPN IP havuzundan geçirilmesi — gerçek ve burada kayıtlı; çünkü taban, ne kadar iyi açıklandığını değil, elde tutulabilecek şeyi fiyatlandırıyor.

U07_protocols bütün seçiciyi taşıyor: vendor_open olarak Lightway UDP ve TCP'nin yanında WireGuard, OpenVPN UDP/TCP ve IKEv2. Lightway, ExpressVPN'in kendi protokolü ve kaynağı bağımsız incelemeyle desteklenerek yayımlanmış durumda (Cure53, 2021 ve 2024); vendor_open tam da bu ayrım için var — proprietary, bir aktarımın zayıf olup olmadığını söylemenin imkânsızlığını fiyatlandırıyor ve burada bu söylenebiliyor.

PPTP, sağlayıcının kendi protokol sayfasına göre ExpressVPN uygulamalarında kullanımdan kaldırılmış; L2TP ve SSTP ise orada sunulmadan açıklanıyor.

M08_user_scale, P02_disclosure_history, P03_court_record ve P12_case_history aynı kaynaklara karşı yeniden okundu ve değişmeden kaldı; ana şeffaflık raporu sayfasında, dosyada zaten yer alan 2016-2017 tarihli mahkeme celpleri dışında hâlâ hiçbir dava adı geçmiyor. Aynı buy-vpn-online sayfasına karşı yapılan fiyat yeniden okumasında her iki rakamın da değişmediği görüldü: aydan aya $11.95, ilk yıl için faturalandırılan ve aynı $47.88 üzerinden otomatik yenilenen bir yıllık plan; başlangıç/yenileme farkı yok ve bu, kataloğun başka bir yerinde belirtilen PIA'nın sabit ücretli fiyatlandırmasıyla tutarlı.

privateinternetaccess.com's kendi sayfaları ve blogundan, iki Deloitte ISAE 3000 (Revised) 'Independent Limited Assurance Report' PDF'sinden (Nisan 2024 ve Aralık 2025, her ikisi de doğrudan açılıp okundu), Kape Technologies'in kendi sitesinden, Kape'in Unikmind Holdings (Teddy Sagi) tarafından 2023'te özel şirket haline getirilmesine ilişkin Isle of Man/Companies House kaynaklı raporlardan ve açık kaynak istemciler için resmi pia-foss GitHub kuruluşundan kaynaklandırıldı.

United States v. McWaters (9:16-cr-80043, S.D. Fla.) için kamuya açık CourtListener dosyası açıldı, ancak dosyada hiçbir mahkeme celbi, VPN sağlayıcısı veya sonuç adı geçmiyor; bu mahkeme celbini ayrıntılı olarak anlatan bağlı kuruluş yazısı (vpncompare.co.uk) yasak bir kaynak olduğu için çıkarıldı ve TorrentFreak'in kendi haberleri, curl dahil bu çalışmadaki her getirme denemesinde HTTP 403 döndürdü. P03/P12 artık bunun yerine PIA'nın kendi şeffaflık raporu öz beyanına dayanıyor.

Wikipedia, V12'den çıkarılarak GitHub kuruluşunun kendisi tercih edildi. Bu sicilde hiçbir yerde bağlı kuruluş veya 'best VPN' derleyici sitesi olgusal kaynak olarak kullanılmadı; arama sonuçlarında, birincil bir sayfaya karşı çapraz denetlenemeyen makul görünen sayılarla (sunucu sayıları, kullanıcı sayıları, denetim tarihleri) defalarca karşılaşılmış olsa da bunlar kullanılmak yerine elendi.

Şeffaflık raporu. P05/P06/P08/P09 artık Trust Center üzerinden ulaşılan ExpressVPN'in altı aylık şeffaflık raporuna dayanıyor (Tem-Ara 2025: 155 hükûmet/kolluk talebi, 0 ifşa, ayrı olarak listelenen 3 arama emri); önceki çalışma ikisini de kaçırmıştı.

Kanarya ve bloğun geri kalanı. Hiçbir ExpressVPN arama emri kanaryası bulunamadı ve bunu reddeden birincil bir açıklama yok; bu nedenle P07 bilinmiyor olarak kalıyor. P02/P03=none_known, şeffaflık dizisine ve gizlilik politikasının davalara ilişkin tutumuna dayanıyor; P11=none_known ise politikanın tüm taleplerin BVI mahkemelerinden geçtiğine ilişkin açıklamasına dayanıyor. P04=withdrew_physical, Haziran 2022'de Hindistan'dan çıkıştır.

Hiç yayımlanmayanlar. Abone sayısı (M08) ve toplam sunucu sayısı (U03) yayımlanmamıştır. Sunucu donanımının sahipliği (C08: sahip olunan mı kiralanmış mı) ve uygulama düzeyindeki cihaz tanımlayıcıları (C12), kontrol edilen hiçbir sayfadan kanıtlanamamıştır.

113'lük bir beyana karşı 106 ülke. U02_server_countries, ExpressVPN'in kendi site haritasındaki 105 ülke açılış sayfasını ve canlı /vpn-server sayfasında "Available - Virtual Locations" olarak doğrulanan, ancak kendine ait bir açılış sayfası bulunmayan Çin'i yansıtır — toplam 106 kod; bu, sitenin kendi "113 Countries" pazarlama beyanına karşıdır. Canlı sunucu konumu sayfası, ayrıntılı olarak ayrıştırılmamış çok büyük bir protokol başına tablodur; bu nedenle 106 ile 113 arasındaki boşluk çözümlenmek yerine raporlanır.

İki kategori arasında kalan bir denetim bulgusu. V11_audit_findings, none_linkable veya aggregates_only yerine session_metadata olarak kaydedilmiştir: 2025 KPMG raporu, saf bir toplulaştırmadan daha kapsamlı olan, ancak IP ve kesin zaman bilgisi içermeyen yapılandırılmış, bağlantı başına bir kayıt (ülke, İSS, tarih, protokol, veri hacmi, kararlı bir salted-hash takma adı) açıklar — bu alanın dört orta kategorisi açısından gerçekten belirsiz bir durum.

Bu incelemede kontrol edilmedi. ExpressVPN'in kapsamının bağlı kuruluş siteleri dışında mevcut olup olmadığı (X08), bağlı kuruluş ödeme düzeyi (X10) ve sahip tarafından işletilen inceleme medyasının sahiplik bağını belirtip belirtmediği (X11) bu incelemede kontrol edilmedi.

P2P, arandı ve yok. U12a_p2p_allowed, diğerlerinden farklı bir nedenle bilinmiyor: arandı ve yayımlanmadığı görüldü. Ne site haritası (578 sayfa ve destek URL'leri) ne de hizmet şartları herhangi bir yerde P2P, BitTorrent veya dosya paylaşımından söz ederken, kataloglanan diğer her sağlayıcı kendi belgelerinde tutumunu belirtir. Bir destek makalesi veya hizmet şartlarında bir madde bunu çözer; çalışan bir VPN olduğunu söyleyen bir inceleme sitesi çözmez.

Neyi incelemedi. Rapor yalnızca altyapıyı kapsıyor. C07a_app_sdk ve C12_device_identifier, raporun hiç incelemediği uygulama tarafı olgularıdır; bunlar artık, web sitesi ziyaretçileri için analizleri ve platform ile uygulama sürümünü taşıyan, tercihe bağlı tanı raporlarını açıklayan gizlilik politikasına kaynak veriyor. Bunlardan herhangi birini uygulamaya derlenmiş SDK'lar hakkında bir ifade olarak okumak bu sicildeki en zayıf bağlantıdır ve bunun gerçekten karara bağlanacağı yer açık kaynak istemcilerdir.

2016 tarihli mahkeme celbi mahkeme dosyasına değil, PIA'nın kendi beyanına dayanıyor. McWaters davasının (S.D. Fla., 9:16-cr-80043) tek ayrıntılı anlatımı, bu sicilin kaynak gösteremeyeceği bir bağlı kuruluş sitesinde yer alıyor; CourtListener'ın bu davaya ilişkin dosyasında mahkeme celbinden, sağlayıcıdan veya sonuçtan söz edilmiyor. P03_court_record ve P12_case_history artık PIA'nın, 2016-2017'de kendisine mahkeme celbi gönderildiğini ve hiçbir şey sunmadığını belirten şeffaflık raporu beyanına dayanıyor — doğrulanmış bir mahkeme kaydı değil, B düzeyi bir öz beyan.